『詐欺メール』イオンカードから『【ETC】重要なお知らせ（自動配信メール）』と、来た件

不可解なメール

スマホやタブレットが普及し増々便利になる私たちが生活する世の中。
それに比例して増えてくるのが悪質な詐欺行為。
このブログエントリーは、フィッシング詐欺メールの注意喚起拡散を目的とし
悪意を持ったメールを発見次第できる限り迅速なご紹介を心掛けています。
もし気が付かずに詐欺サイトログインしてしまった場合は、まず落ち着いてできる限り早く
パスワードの変更やクレジットカードの利用停止を行ってください。

1. ★フィッシング詐欺解体新書★

★フィッシング詐欺解体新書★

イオンカードがETC利用照会サービスのメールを？！

タイトル見て　(。´・ω・)ん?　って思った方も多いと思います。
イオンカードってETCサービスの取次店とかやってたっけ？💦
同じ件名で内容の異なるメールが2通届いていました。

1通目は、ETCアカウントで異常なアクティビティが検出されたからリンクを辿ってアカウント情報を
更新する必要があると言うもの。
そして2通目は、最近のアカウントの状況に関する重要な変更があったのでリンクからログインして
関連情報を確認・確認を促すもの。
ちょっと待ってください、1通目にETCのアカウントって書いてありますが、元来ETCにアカウント
なんてありましたっけ？
それってもしかして偽メールが横行している『ETC利用照会サービス』のアカウントの間違いでしょうか？(笑)
2通目は、本文の見出しにちゃんと『ETC利用照会サービス』と書いてありますね。

それに両メール共、末尾に何やら同じ内容の英文が書かれていますね。
参考までに訳してみましょうか。

Tactics like these clearly weren’t helpful for users, so why did publishers do it? Google wasn’t always as good as it is today at understanding the relationships between words and phrases (or semantics). So, if you wanted to rank on page 1 for “bridal gowns” but you only had a page on “wedding dresses,” that may not have cut it.
pages, which resulted in more quality pages taking the top spots of the SERPs. Google continues to iterate on this process of demoting low-quality content and promoting high-quality content today. Google is clear that you should have a comprehensive page on a topic instead of multiple, weaker pages for each variation of a keyword. the

このような戦術がユーザーにとって役に立たないのは明らかですが、なぜパブリッシャーはそのようなことをしたのでしょうか? Google は、単語とフレーズ (またはセマンティクス) の関係を理解することに、以前から今日ほど優れていたわけではありません。したがって、「ブライダルドレス」のページ 1 にランク付けしたかったが、「ウェディングドレス」のページしかなかった場合、それはうまくいかない可能性があります。
その結果、より質の高いページが SERP の上位を占めました。 Google は現在も、低品質のコンテンツを降格し、高品質のコンテンツを宣伝するこのプロセスを繰り返し続けています。 Google は、キーワードのバリエーションごとに複数の弱いページを作成するのではなく、トピックに関する包括的なページを作成する必要があることを明確にしています。の

何でしょうこれは？
どうやらウェブサイトの集客のSEOに関することが書かれているようですね。
そんなのETCにどのような関連があるのでしょうか？
もしかしてこれは、メールの受信サーバーのセキュリティである迷惑メールフィルターを
混乱させるために付加された『ワードサラダ』の一環なのかもしれませんね。

まあどちらにしてもこのメールはイオンカード若しくはETC利用照会サービスさんを騙った
フィッシング詐欺メールだと思われます。
では、この中から2通目をチョイスし詳しく見ていきましょう！
まずはプロパティーから見ていきます。

件名は『[spam] 【ETC】重要なお知らせ（自動配信メール）』
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

差出人は
『”イオンカード” <cloud-*****@uber.com>』
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

”*****”部分には受取ったメールアドレスのアカウント名が入れられています。
これは最近のフィッシング詐欺メールのあるあるです。
そして”uber.com”とウーバーイーツさんのドメインが使われているのもあるあるです。
これらから考察して、この差出人は元々フィッシング詐欺なんてするつもりが無いもかも…
なんて思ったりもします。。

差出人の本当のメールアドレスドメインが判明

では、このメールが悪意のあるメールであることを立証していきましょうか！
まず、このメールのヘッダーソースにある”Received”を確認し調査してみます。
私が愛用のThunderbirdの場合、『表示(V)』⇒『メッセージのソース(O)』と進むと見られますよ。

Received:『from mail.phenixmicroscope.com.cn (unknown [193.124.46.98])』

ここに掲げた”Received”はこのメールが差出人から送信された後最初に通過したサーバーの情報。
すなわち差出人が使った送信サーバーの自局情報です。
末尾の4つに区切られた数字の集まりはIPアドレスと呼ばれるいわばインターネット上の住所や電話番号で
同じ数字の集まりは世界中に1つしかありません。
でもこの数字の集まりじゃあまりにも煩雑でわかりにくいので、それに文字を割り当て分かり易くした
ものがドメインと呼ばれるものです。

このIPアドレスが差出人のメールアドレスのドメインに割当てられているものと一致すれば
メールアドレスの偽装は無かったことが証明されますが、そうでない場合、特定電子メール法
違反となり処罰の対象とされます。

※特定電子メール法違反
・個人の場合、1年以下の懲役または100万円以下の罰金
・法人の場合、行為者を罰する

では、絶対に違うとは思いますがメールアドレスにあったドメイン”uber.com”が差出人本人の
ものなのかどうかを調べてみます。

これがドメイン”uber.com”を割当てているIPアドレスの情報です。
これによると”34.98.127.226”がこのドメインを割当てているIPアドレス。
本来このIPは”Received”のIP”193.124.46.98”と同じ数字の羅列になるはずですが、それが全く異なるので
このメールのドメインは”uber.com”ではありません。
これでアドレスの偽装は確定です！

”Received”には”mail.phenixmicroscope.com.cn”なんて中国のドメインも記載されていますね。
このドメインとIPアドレス”193.124.46.98”にはどのような関連性があるのか気になりますよね？
ならばサクッと調べてみましょう！

”mail.phenixmicroscope.com.cn”とIPアドレス”193.124.46.98”はぴったりマッチング♪
この差出人の本当のメールアドレスドメインはこのドメインで間違いありません。
このドメインは中国杭州市の『杭州名商網絡有限公司』と言うレジストラに依頼して取得申請しています。
記載されている”Registrant”も中国の方の氏名のようです。

”Received”に記載されているIPアドレスは、差出人が利用したメールサーバーの情報で
これを紐解けば差出人の素性が見えてきます。
このIPアドレスを元に送信に使われた回線情報とその割り当て地を確認してみます。

地図に立てられたピンの位置は、トルコの大都市『イスタンブール』
送信に利用されたのは、アメリカに拠点を置く『Baxet Group Inc.』と言うプロバイダーです。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

アムステルダムに設置のサーバー

では引き続き本文。

【重要】ETC利用照会サービスの更新情報
尊敬するETCサービスの利用者様へ、最近のアカウントの状況に関する重要な変更がありました。
アカウントのセキュリティと正常な利用を保証するため、ログインして関連情報を確認・確認することをおすすめします。
長期間ログインしないアカウントは、一部の機能が制限されるか一時的に凍結される可能性があります。
下のリンクをクリックしてログインしてください：
ログインして確認する

冒頭の挨拶で『尊敬する～』なんて言葉を使うのは日本人ではありません。
恐らくはどこかの言葉を翻訳したものを貼り付けたのでしょう。

このメールは詐欺メールですから詐欺サイトへのリンクが付けられています。
そのリンクは『ログインして確認する』って書かれたところに付けられていて
リンク先はGoogleの『透明性レポート』のサイトステータスはこのようにレポートされていました。